手順

1. 冗長な CA サービスを特定し、当該サービスをホストする IdM レプリカで IdM サーバーのアンインストール の手順を実行します。
2. 同じホストで、IdM サーバーのインストール: 統合 DNS があり外部 CA がない場合 の手順に従います。

手順

1. 現在の検索時間およびサイズ制限を CLI で表示するには、ipa config-show コマンドを使用します。

   $ ipa config-show
   
   Search time limit: 2
   Search size limit: 100

2. すべてのクエリーに対して グローバルに 制限を調整するには、ipa config-mod コマンドを使用して、--searchrecordslimit および --searchtimelimit のオプションを追加します。以下に例を示します。

   $ ipa config-mod --searchrecordslimit=500 --searchtimelimit=5

3. 特定のクエリーに対してのみ 一時的に 制限を調整するには、コマンドに --sizelimit または --timelimit オプションを追加してください。以下に例を示します。

手順

1. IdM Web UI にログインします。

2. IPA Server をクリックします。

   

3. IPA Server タブで、Configuration をクリックします。

4. Search Options エリアに必要な値を設定します。

   デフォルト値は以下の通りです。

   • 検索サイズの制限 - 100 エントリー
   • 検索時間の制限 - 2 秒

5. ページ上部にある Save をクリックします。

   

手順

1. 自動キャッシュチューニングを無効にします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0

2. データベースの接尾辞と、対応するバックエンドを表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   このコマンドにより、各接尾辞の横にバックエンドデータベースが表示されます。次の手順では、接尾辞のデータベース名を使用します。

3. データベースのエントリーキャッシュサイズを設定します。この例では、userroot データベースのエントリーキャッシュを 2 ギガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --cache-memsize=2147483648 userroot

4. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

5. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して cache-memsize を別の値に調整するか、キャッシュサイズの自動調整をもう一度有効化します。

手順

1. 自動キャッシュチューニングを無効にし、データベースキャッシュのサイズを設定します。この例では、データベースキャッシュを 256 メガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --cache-autosize=0 --dbcachesize=268435456

2. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

3. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して dbcachesize を別の値に調整するか、キャッシュサイズの自動調整をもう一度有効化します。

手順

1. Directory Server を停止します。

   [root@server ~]# systemctl stop dirsrv.target

2. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルをバックアップしてから、他の変更を加えます。

   [root@server ~]# *cp /etc/dirsrv/slapd-instance_name/dse.ldif \
        /etc/dirsrv/slapd-instance_name/dse.ldif.bak.$(date "+%F_%H-%M-%S")

3. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルを編集します。

   1. データベースおよびエントリーキャッシュに使用する空きシステムメモリーの割合を、デフォルトの空きメモリー 10% に戻します。

      nsslapd-cache-autosize: 10

   2. データベースキャッシュのシステムメモリーから使用する割合をデフォルトの 25% に設定します。

      nsslapd-cache-autosize-split: 25

4. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルへの変更を保存します。

5. Directory Server を起動します。

   [root@server ~]# systemctl start dirsrv.target

手順

1. (オプション) データベースの接尾辞と、対応する d データベース名を表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   dc=example,dc=com (userroot)

   このコマンドにより、各接尾辞の横にバックエンドデータベースが表示されます。次の手順では、接尾辞のデータベース名を使用します。

2. データベースの DN キャッシュサイズを設定します。この例では、DN キャッシュを 20 メガバイトに設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix set --dncache-memsize=20971520 userroot

3. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して dncache-memsize を別の値に調整するか、デフォルトの 10 MB に戻します。

手順

1. NDN キャッシュが有効になっていることを確認します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-enabled
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-enabled: on

   キャッシュが オフ の場合は、次のコマンドで有効にします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-enabled=on
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ndn-cache-enabled"

2. nsslapd-ndn-cache-max-size パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ndn-cache-max-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ndn-cache-max-size: 20971520

3. nsslapd-ndn-cache-max-size 属性の値を変更します。この例では 41943040 (40 MB) に値を増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ndn-cache-max-size=41943040

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して nsslapd-ndn-cache-max-size を別の値に調整するか、キャッシュサイズの自動調整をもう一度有効化します。

手順

1. nsslapd-maxbersize パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxbersize
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxbersize: 2097152

2. nsslapd-maxbersize 属性の値を変更します。この例では 4194304 (4 MB) に値を増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxbersize=4194304

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxbersize"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して nsslapd-maxbersize を別の値に調整するか、デフォルトの 2097152 に戻します。

手順

1. nsslapd-maxdescriptors パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-maxdescriptors
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-maxdescriptors: 4096

2. nsslapd-maxdescriptors 属性の値を変更します。この例では、値を 8192 に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-maxdescriptors=8192

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-maxdescriptors"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して nsslapd-maxdescriptors を別の値に調整するか、デフォルトの 4096 に戻します。

手順

1. nsslapd-listen-backlog-size パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-listen-backlog-size
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-listen-backlog-size: 128

2. nsslapd-listen-backlog-size 属性の値を変更します。この例では、値を 192 に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-listen-backlog-size=192

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-listen-backlog-size"

手順

1. nsslapd-db-locks パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。

   [root@server ~]# ldapsearch -D "cn=directory manager" -w DirectoryManagerPassword -b "cn=bdb,cn=config,cn=ldbm database,cn=plugins,cn=config" | grep nsslapd-db-locks
   nsslapd-db-locks: 50000

2. locks 属性の値を変更します。この例では、ロックの値を 2 倍の 100000 に設定します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend config set --locks=100000

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully updated database configuration

4. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

手順

1. nsslapd-ioblocktimeout パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-ioblocktimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-ioblocktimeout: 10000

2. nsslapd-ioblocktimeout 属性の値を変更します。この例では、値が 8000 まで減らします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-ioblocktimeout=8000

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-ioblocktimeout"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して nsslapd-ioblocktimeout を別の値に調整するか、デフォルトの 10000 に戻します。

手順

1. nsslapd-idletimeout パラメーターの現在の値を取得して、復元する必要がある場合に備え、調整を行う前にこの値をメモします。プロンプトが表示されたら、Directory Manager のパスワードを入力します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config get nsslapd-idletimeout
   Enter password for cn=Directory Manager on ldap://server.example.com:
   nsslapd-idletimeout: 3600

2. nsslapd-idletimeout 属性の値を変更します。この例では、値が 1800 (30 分) まで減らします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-idletimeout=1800

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "nsslapd-idletimeout"

4. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して nsslapd-idletimeout を別の値に調整するか、デフォルトの 3600 に戻します。

手順

1. データベースの接尾辞と、対応するバックエンドを表示します。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
   cn=changelog (changelog)
   dc=example,dc=com (userroot)
   o=ipaca (ipaca)

   このコマンドにより、接尾辞の横にバックエンドデータベースの名前が表示されます。次の手順でこの接尾辞名を使用します。

2. メインの userroot データベースの repl-release-timeout 属性の値を変更します。この例では、値を 90 秒に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="dc=example,dc=com" --repl-release-timeout=90

3. Directory Manager として認証し、設定の変更を行います。

   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

4. (オプション) IdM 環境で IdM 認証局 (CA) を使用する場合は、CA データベースの repl-release-timeout 属性の値を変更できます。この例では、値を 90 秒に増やします。

   [root@server ~]# dsconf -D "cn=Directory Manager" ldap://server.example.com replication set --suffix="o=ipaca" --repl-release-timeout=90
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Successfully replaced "repl-release-timeout"

5. Directory Server を再起動します。

   [root@server ~]# systemctl restart dirsrv.target

6. IdM ディレクトリーサーバーのパフォーマンスを監視します。希望どおりに変更されなかった場合にはこの手順を繰り返して repl-release-timeout を別の値に調整するか、デフォルトの 60 に戻します。

手順

1. カスタムデータベース設定で LDIF 形式のテキストファイルを作成します。LDAP 属性の変更はダッシュ (-) で区切ります。この例では、idle タイムアウトおよび最大ファイルディスクリプターにデフォルト以外の値を設定します。

   dn: cn=config
   changetype: modify
   replace: nsslapd-idletimeout
   nsslapd-idletimeout=1800
   -
   replace: nsslapd-maxdescriptors
   nsslapd-maxdescriptors=8192

2. --dirsrv-config-file パラメーターを使用して、LDIF ファイルをインストールスクリプトに渡します。

   1. IdM サーバーをインストールするには、次のコマンドを実行します。

      # ipa-server-install --dirsrv-config-file filename.ldif

   2. IdM レプリカをインストールするには、次のコマンドを実行します。

      # ipa-replica-install --dirsrv-config-file filename.ldif

手順

1. テキストエディターで /var/kerberos/krb5kdc/kdc.conf ファイルを開きます。

2. TCP リッスンバックログを 7 などの目的の値に設定します。

   [kdcdefaults]
    ...
    kdc_tcp_listen_backlog = 7

3. /var/kerberos/krb5kdc/kdc.conf ファイルを保存して閉じます。
4. KDC を再起動して、新しい設定を読み込みます。

手順

1. テキストエディターで /etc/krb5.conf ファイルを開きます。

2. [dbmodules] セクションとそれぞれの Kerberos レルムに、オプションと任意の値を指定します。この例では、Kerberos レルム EXAMPLE.COM に disable_last_success 変数を設定します。

   [dbmodules]
       EXAMPLE.COM = {
           disable_last_success = true
       }

3. /etc/krb5.conf ファイルを保存して閉じます。
4. KDC を再起動して、新しい設定を読み込みます。

手順

1. /etc/sysconfig/krb5kdc ファイルをテキストエディターで開きます。

2. KRB5KDC_ARGS パラメーターの値を指定します。この例では、プロセスの数を 10 に設定しています。

   KRB5KDC_ARGS='-w 10'
   [...]

3. /etc/sysconfig/krb5kdc ファイルを保存して閉じます。

4. systemd 設定をリロードします。

   # systemctl daemon-reload

5. krb5kdc サービスを再起動します。

   # systemctl restart krb5kdc.service

手順

1. テキストエディターで /etc/sssd/sssd.conf 設定ファイルを開きます。

2. Active Directory ドメインの [domain] セクションに以下のオプションを追加します。AD ドメインにドメインセクションがない場合は作成します。

   [domain/ad.example.com]
   ignore_group_members = true
   subdomain_inherit = ignore_group_members
   ...

3. サーバーの /etc/sssd/sssd.conf ファイルを保存して閉じます。

4. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@client ~]# systemctl restart sssd

手順

1. ワーカースレッドの総数を取得します。

   # ldapsearch -xLLLD cn=directory\ manager -W -b cn=config -s base nsslapd-threadnumber
   Enter LDAP Password:
   dn: cn=config
   nsslapd-threadnumber: 16

   これは、ipaExtdomMaxInstances の現在の値が 13 であることを意味します。

2. インスタンスの最大数を調整します。この例では、値を 14 に変更します。

   # ldapmodify -D "cn=directory manager" -W
   dn: cn=ipa_extdom_extop,cn=plugins,cn=config
   changetype: modify
   replace: ipaExtdomMaxInstances
   ipaExtdomMaxInstances: 14

3. ipaExtdomMaxInstances の現在の値を取得します。

   # ldapsearch -xLLLD "cn=directory manager" -W -b "cn=ipa_extdom_extop,cn=plugins,cn=config" |grep ipaextdommaxinstances
   
   Enter LDAP Password:
   
   ipaextdommaxinstances: 14

4. IdMDirectory Server のパフォーマンスを監視し、改善されない場合は、この手順を繰り返して ipaExtdomMaxInstances 変数の値を調整します。

手順

1. キャッシュされていないログイン 1 回にかかる秒数を決定します。

   1. IdM クライアント client.example.com で SSSD キャッシュを削除します。

      [root@client ~]# sss_cache -E

   2. time コマンドを使用して、AD ユーザーとしてログインにかかる時間を測定します。この例では、IdM クライアント client.example.com の AD ドメイン ad.example.com から ad-user として、同じホストにログインします。

      [root@client ~]# time ssh ad-user@ad.example.com@client.example.com

   3. できるだけ早くパスワードを入力します。

      Password:
      Last login: Sat Jan 23 06:29:54 2021 from 10.0.2.15
      [ad-user@ad.example.com@client ~]$

   4. できるだけ早くログアウトして経過時間を表示します。この例では、キャッシュされていないログインに約 9 秒かかります。

      [ad-user@ad.example.com@client /]$ exit
      logout
      Connection to client.example.com closed.
      
      real 0m8.755s
      user    0m0.017s
      sys     0m0.013s

2. テキストエディターで /etc/sssd/sssd.conf 設定ファイルを開きます。

3. Active Directory ドメインの [domain] セクションに以下のオプションを追加します。pam_id_timeout オプションおよび krb5_auth_timeout オプションを、キャッシュを使用しないログインにかかる秒数に設定します。AD ドメインにドメインセクションがない場合は作成します。

   [domain/example.com/ad.example.com]
   krb5_auth_timeout = 9
   ldap_deref_threshold = 0
   ...

4. pam セクションに次のオプションを追加します。

   [pam]
   pam_id_timeout = 9

5. サーバーの /etc/sssd/sssd.conf ファイルを保存して閉じます。

6. SSSD サービスを再起動して、設定の変更を読み込みます。

   [root@client ~]# systemctl restart sssd

手順

1. tmpfs 一時ファイルシステムを作成します。

   1. RHEL 8.6 以降では、SSSD ユーザーが config.ldb ファイルを所有していることを確認します。

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 sssd sssd 1286144 Jun  8 16:41 /var/lib/sss/db/config.ldb

      次のエントリーを /etc/fstab ファイルに 1 行で追加します。

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,uid=sssd,gid=sssd,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

   2. 8.6 より前の RHEL 8 バージョンでは、config.ldb ファイルは root ユーザーが所有します。

      # ls -al /var/lib/sss/db/config.ldb
      -rw-------. 1 root root 1286144 Jun  8 14:15 /var/lib/sss/db/config.ldb

      次のエントリーを /etc/fstab ファイルに 1 行で追加します。

      tmpfs /var/lib/sss/db/ tmpfs size=300M,mode=0700,rootcontext=system_u:object_r:sssd_var_lib_t:s0 0 0

      この例では、300MB キャッシュを作成します。IdM および AD ディレクトリーサイズにあわせて size を調整します (LDAP エントリー 1 万につき 100 MB 想定)。

2. 新しい SSSD キャッシュディレクトリーをマウントします。

   [root@host ~]# mount /var/lib/sss/db/

3. SSSD を再起動して、この設定の変更を反映します。

   [root@host ~]# systemctl restart sssd